DIVISION DE LYON
Lyon, le 09 août 2019 N/Réf. : CODEP-LYO-2019-035380 Monsieur le Directeur du centre nucléaire de production d'électricité du Tricastin CNPE du Tricastin CS 40009 26131 SAINT PAUL TROIS CHATEAUX 
CEDEX 
Objet : Contrôle des installations nucléaires de base Centrale nucléaire du Tricastin - Réacteur 2 (INB no 87) 
Inspection réactive du 24 juillet 2019 relative à la mise à l'arrêt du réacteur 2 Réf. : [1] Code de l'environnement, notamment le chapitre VI du titre IX du livre V 
[2] Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base Référence à rappeler en réponse à ce courrier : INSSN-LYO-2019-0800 du 24 juillet 2019 Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu au Code de l'environnement, une inspection réactive a eu lieu le 24 juillet 2019 sur la centrale nucléaire (CNPE) du Tricastin. J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthèse De L'Inspection

L'inspection du 24 juillet 2019 visait à examiner les actions menées par EDF pour baisser la température et la pression du réacteur 2 afin de le mettre dans un état sûr à la suite de la détection du dysfonctionnement d'un robinet d'injection d'eau de sécurité (RIS) pendant les essais périodiques du système de protection du réacteur (RPR) effectués le 14 juillet 2019. Cet incident, désormais clos, a été résorbé par EDF en remplaçant une pièce mécanique du servomoteur du robinet du système RIS et en procédant à la réparation et à la requalification des matériels du système RPR. Il ressort de cette inspection que la mise à l'arrêt dans un état sûr n'a pas été réalisée dans les délais prévus par les RGE du fait de plusieurs défauts et aléas techniques survenus lors de ce transitoire. Il apparaît nécessaire qu'EDF réalise une revue des mises à l'arrêt de ses réacteurs afin d'examiner en détail les conditions dans lesquelles sont réalisées ces opérations. Le cas échéant, EDF devra adapter ses consignes d'exploitation, prises en application des règles générales d'exploitation, et justifier les mesures et modifications à mettre en œuvre. 

Par ailleurs, le robinet du système RIS à l'origine de la mise à l'arrêt dans un état sûr du réacteur 2 le 14 juillet 2019 avait déjà conduit à engager cette même opération en septembre 2018. Les nombreux défauts relevés sur ce robinet lors des différents essais périodiques conduisent l'ASN à s'interroger sur la fiabilité et la disponibilité de ce composant. 

## Chronologie De L'Incident

Le réacteur 2 est en production électrique, la température du réacteur est d'environ 300°C et sa pression est de 155 bars (état d'exploitation dit « fonctionnement en puissance »). Le 13 juillet 2019, EDF réalise les essais périodiques (EP) de la voie A du système RPR qui demandent à manœuvrer à trois reprises1 le robinet repéré 2 RIS 012 VP. À deux reprises lors de ces EP, le robinet ne s'est pas ouvert à la première impulsion et une sollicitation supplémentaire sur le bouton a été nécessaire pour que le robinet manœuvre. Aucune anomalie n'étant apparue au cours de la troisième manœuvre du robinet lors de ces EP, EDF l'a alors considéré disponible. Néanmoins du fait de ces anomalies, EDF a mis en place une instrumentation dédiée sur ce robinet pour mieux connaître son comportement. Le 14 juillet 2019, EDF réalise les EP de la voie B du système RPR qui demandent à manœuvrer une seule fois le robinet repéré 2 RIS 012 VP. Lors du test de manœuvrabilité, le robinet RIS reste bloqué et ne manœuvre pas en fermeture malgré une impulsion supplémentaire sur le bouton. En application des règles générales d'exploitation (RGE), EDF procède à la baisse de la température et de la pression d'eau du réacteur 2 afin de rejoindre un état sûr2. 

Au cours des opérations de mise à l'arrêt, l'apparition d'une alarme en salle de commande puis le dysfonctionnement électrique d'une vanne ont entraîné l'interruption de ces opérations et nécessité l'intervention des équipes d'astreinte. La mise à l'arrêt dans un état sûr n'a repris qu'après le traitement de ces aléas. 

De plus, l'application d'une vitesse de refroidissement trop faible par l'équipe de conduite a provoqué le dépassement de la durée autorisée pour les opérations de mise à l'arrêt. 

## A. Demandes D'Actions Correctives Durée De La Mise À L'Arrêt Dans Un État Sûr Du Réacteur 2

En application des RGE, la baisse de la température et de la pression du réacteur doit être réalisée dans des délais contraints3, représentatifs des délais nécessaires pour procéder au diagnostic, au contrôle, aux réparations éventuelles, à la mise en place des mesures palliatives ou à la mise à l'arrêt dans un état sûr, tout en respectant une limite d'accroissement du risque provoqué par les dysfonctionnements relevés sur l'installation. 

En particulier, les durées des transitoires énoncés ci-après doivent être respectées : 
- (i) pour le passage de « RP » à « AN/GV4 au-dessus de P11 et P12 », la durée maximale du transitoire prévue par les RGE est de 2 heures ;
- (ii) pour le passage de « AN/GV au-dessus de P11 et P12 » à « AN/GV aux conditions de connexion du RRA » ou à « AN/RRA5 diphasique », la durée maximale est de 6 heures ; 
- (iii) pour le passage de « AN/RRA diphasique » à « AN/RRA T<90 °C », la durée maximale est de 8 heures. 

Les inspecteurs ont constaté que la durée allouée pour ces transitoires a été dépassée par le CNPE du Tricastin lors de la mise à l'arrêt du réacteur 2. Au cours de la mise à l'arrêt de ce réacteur, des alarmes sont apparues en salle de commande ; il a fallu traiter les causes à l'origine de leurs déclenchements. De plus, un robinet du circuit primaire principal était affecté d'un défaut électrique ; le remplacement d'un relai de la cellule électrique de ce robinet a été nécessaire pour poursuivre les opérations de mise à l'arrêt dans un état sûr. Demande A1 : Je vous demande de me fournir une analyse détaillée des aléas qui ont affecté la mise à l'arrêt dans un état sûr du réacteur 2. Pour chacun d'eux, je vous demande d'une part de me préciser s'ils étaient prédictibles, et d'autre part de me démontrer le maintien d'un chemin sûr dans le cas où ils n'auraient pas pu être résolus. À la demande de l'ASN, EDF a déclaré le 2 août 2019 un événement significatif pour la sûreté, de niveau 1 sur l'échelle INES, relatif à la mise à l'arrêt dans un état sûr du réacteur 2 sans respecter les RGE. 

## Cas Particulier De La Mise À L'Arrêt Dans Un État Sûr Des Réacteurs Affectés De L'Écart Relatif À La Ségrégation Du Carbone Des Fonds Primaires Des Générateurs De Vapeur Et Ayant Intégré La Modification Ptd3

Les agents d'EDF interrogés par les inspecteurs ont indiqué que le gradient de refroidissement imposé pour les réacteurs affectés de l'écart de conformité relatif à la ségrégation du carbone des fonds primaires des générateurs de vapeur est nettement inférieur au gradient autorisé pour ceux qui ne sont pas affectés de cet écart. À ce titre, les agents d'EDF considèrent qu'il n'est pas possible, du fait de ces contraintes, de respecter les délais de mise à l'arrêt dans un état sûr bien qu'un courrier des services centraux d'EDF du 6 mars 2017 indique qu'il n'y a pas d'incompatibilité entre les différentes exigences. Dans un courrier du 28 mars 2019, le CNPE du Tricastin a alerté les services centraux d'EDF sur le dépassement des durées des transitoires détecté lors de la mise à l'arrêt dans un état sûr du réacteur 2 en septembre 2018 et du réacteur 1 en janvier 2019. Le CNPE du Tricastin a identifié par ailleurs dans son courrier que la durée allouée pour ces transitoires avait été modifiée lors de la mise en application du palier technique documentaire 3 (PTD3), en particulier la durée du transitoire (ii) dans les RGE du PTD3 est de 6 heures alors qu'elle était de 8 heures dans les RGE de la précédente version. Les services centraux d'EDF n'ont pas apporté de réponse à ce courrier du CNPE du Tricastin. 

À la suite de l'inspection, le CNPE du Tricastin a informé oralement l'ASN, le 1er août 2019, que les délais de mise à l'arrêt prévus dans les RGE sont compatibles avec les contraintes spécifiques liées à la ségrégation du carbone des fonds primaires des générateurs de vapeur et peuvent ainsi être respectés. Demande A2 : Je vous demande d'analyser les mises à l'arrêt des réacteurs réalisées depuis l'intégration du PTD3. Vous identifierez et quantifierez les durées de mise à l'arrêt qui n'ont pas respecté les délais prescrits dans les RGE. Vous évaluerez l'impact de l'écart relatif à la ségrégation du carbone des fonds primaires des générateurs de vapeur dans ces dépassements de délais. Demande A3 : Je vous demande, en relation avec vos services centraux, d'établir une procédure validée et partagée relative à la mise à l'arrêt dans un état sûr des réacteurs affectés de l'écart susvisé tout en respectant les délais alloués par les RGE aux différents transitoires. 

## Refroidissement Sur Les Générateurs De Vapeur En Arrêt Normal À Froid

Lors de la mise à l'arrêt du réacteur 2 initiée le 14 juillet 2019, les RGE imposaient de rejoindre l'état sûr d' « arrêt normal à froid » avec le circuit primaire monophasique et une température inférieure à 90°C compte-tenu du cumul des indisponibilités induites par la situation rencontrée. 

Lors de la phase de mise à l'arrêt, en application de la conduite à tenir associée à l'indisponibilité RIS 16 définie pour l'état AN/RRA, l'équipe de conduite a assuré le refroidissement du réacteur 2 préférentiellement par les générateurs de vapeur (GV) disponibles. Les agents d'EDF interrogés par les inspecteurs ont précisé que dans cet état d'exploitation, lorsque la pression et la température du circuit primaire sont proches des conditions autorisées pour passer de l'état diphasique à l'état monophasique 
(arrêt normal à froid), le refroidissement sur les GV n'est pas efficace ; les inspecteurs ont en effet constaté sur les relevés un palier correspondant à une stagnation de la température du circuit primaire à 125 °C. La mise à l'arrêt du réacteur en a été retardée, le temps que l'exploitant procède à l'analyse nécessaire pour déterminer la stratégie à appliquer ; dans ce cas particulier la stratégie la plus efficace consistait à s'affranchir du refroidissement par les GV et à n'utiliser que le système de réfrigération du réacteur à l'arrêt (RRA). Au vu de ces éléments, il apparaît que la conduite à tenir associée à l'indisponibilité RIS 1, définie dans l'annexe 4 « chapitre AN/RRA - réacteur en arrêt normal sur RRA » du chapitre III des RGE, qui a été modifiée dans le cadre de la mise en œuvre du Palier Technique Documentaire n°3 (PTD 3), a été source de confusion. En effet lorsque l'état sûr à rejoindre est l'arrêt normal avec le circuit primaire diphasique, le refroidissement doit être assuré par les générateurs de vapeur. Par contre lorsque l'état de repli est l'arrêt normal à froid (qui impose un circuit primaire monophasique), il n'est pas judicieux de stabiliser le réacteur avec le circuit primaire diphasique tout en assurant le refroidissement par les GV. Demande A4 : Je vous demande de m'indiquer les enseignements tirés de cette mise en application de la conduite à tenir associée au cumul des indisponibilités rencontrées et les actions engagées pour en éviter le renouvellement. 

S'il s'avère qu'une modification du libellé de la conduite à tenir associée à l'indisponibilité RIS 1 dans l'annexe 4 « chapitre AN/RRA - réacteur en arrêt normal sur RRA » du chapitre III 
des RGE est nécessaire, je vous demande d'en faire la demande à vos services centraux afin que cela soit intégré dans le cadre du DA7 généralisation VD4-CPY. 

La cause du dysfonctionnement du robinet RIS, qui a entraîné la mise à l'arrêt dans un état sûr du réacteur 2, est liée à de mauvais contacts des cames du limiteur de couple situées dans le boîtier électrique du servomoteur. Ce défaut, détecté sur le robinet RIS de la voie A du réacteur 2, pourrait également se retrouver sur les composants similaires montés sur d'autres repères fonctionnels. Demande A5 : Au regard de cet événement, je vous demande de contrôler dans un délai de deux semaines les éléments du boîtier électrique des servomoteurs repérés RIS 012/013 VP des quatre réacteurs. Demande A6 : Par ailleurs, je vous demande de contrôler dès que possible les éléments du boîtier électrique des servomoteurs de même technologie montés sur des repères fonctionnels classés comme important pour la protection des intérêts (EIP) des quatre réacteurs. L'article 2.5.1-II de l'arrêté en référence [2] dispose que les éléments importants pour la protection font l'objet de dispositions de contrôle et de maintenance permettant d'assurer la pérennité de leur qualification. Ainsi, le programme de maintenance appliqué par EDF à ce type de servomoteur prévoit une visite de contrôle tous les 12 ans. Au regard du nombre de défauts affectant ce robinet (en particulier l'événement de septembre 2018 et les différents défauts de manœuvre relevés lors des EP réalisés la veille), l'ASN considère qu'il est nécessaire de procéder à une revue de sa fiabilité. Demande A7 : Je vous demande d'analyser l'intégralité des défauts observés sur ce robinet entre sa dernière maintenance préventive et l'événement du 14 juillet 2019. 

En fonction des conclusions de cette analyse, vous évaluerez le caractère adapté des dispositions de maintenance définies pour ce type de servomoteur. Demande A8 : Vous étendrez cette analyse aux autres robinets assurant la même fonction de sûreté et vous me fournirez, sous 4 mois, un programme permettant de garantir leur capacité à assurer les fonctions qui leur sont assignées dans la démonstration de sûreté nucléaire. 

## Déclenchement De L'Alarme De Détection D'Un Vortex Dans Le Circuit De Réfrigération Du Réacteur À L'Arrêt

Au cours de la mise en état sûr du réacteur 2, l'alarme relative à la détection d'un vortex dans le circuit RRA est apparue. En application des RGE, les opérateurs en salle de commande ont suspendu le repli en cours et appliqué l'approche par état (APE). Les contrôles réalisés sur les autres paramètres physiques du réacteur ont permis de considérer cette alarme comme intempestive, c'est-à-dire qu'elle ne reflétait pas l'état réel des installations. De ce fait, les opérateurs ont quitté l'APE et ont poursuivi la mise à l'arrêt dans un état sûr du réacteur 2. 

Les inspecteurs ont constaté que ce n'était pas la première apparition de cette alarme lors de la mise à l'arrêt d'un réacteur du CNPE du Tricastin. Cette alarme est élaborée à partir d'un capteur de pression et d'un automate de contrôle-commande. La fiabilité de ces éléments est nécessaire pour éviter l'apparition de fausses alarmes susceptibles de perturber le pilotage des réacteurs notamment lors d'une mise à l'arrêt dans un état sûr en application des RGE. 

Demande A9 : Je vous demande d'analyser l'apparition de l'alarme « détection d'un vortex RRA » lors des mises à l'arrêt des réacteurs et de vous prononcer sur la fiabilité et la disponibilité de l'automate de contrôle-commande qui élabore cette alarme. 

6 Actions correctives mises en œuvre à la suite de l'événement similaire survenu en septembre 2018 En septembre 2018, EDF a engagé la mise à l'arrêt dans un état sûr du réacteur 2 à la suite d'un dysfonctionnement affectant le robinet repéré 2 RIS 012 VP détecté lors des EP RPR. Du fait du traitement rapide du défaut observé à l'époque, la mise à l'arrêt a été interrompue et le réacteur a été repassé dans l'état d'exploitation « fonctionnement en puissance ». Le rapport d'analyse approfondie de cet événement, prévu à l'article 2.6.5 de l'arrêté en référence [2], 
présentait les enseignements tirés ainsi que les actions préventives, correctives et curatives décidées. 

L'action corrective définie à ce moment-là et mise en œuvre, consistant à définir le temps d'appui des commutateurs en salle de commande, n'est pas suffisante du fait de la reproduction de cet écart en juillet 2019. Le 13 juillet 2019, lors des essais périodiques (EP) de la voie A du système RPR, le robinet repéré 2 RIS 
012 VP ne s'est pas ouvert à deux reprises à la première impulsion et une sollicitation supplémentaire sur le bouton a été nécessaire pour que le robinet manœuvre. Demande A10 : Je vous demande d'analyser l'ensemble des refus de manœuvre du robinet repéré 2 RIS 012 VP depuis l'événement survenu en septembre 2018. Vous tâcherez notamment de quantifier les durées d'appui sur les commutateurs en salle de commande. Le cas échéant, vous effectuerez un diagnostic approfondi de l'ensemble de la chaîne de commande, depuis le commutateur en salle de commande jusqu'au servomoteur du robinet repéré 2 RIS 012 VP. Demande A11 : Je vous demande de réévaluer en conséquence l'efficacité des actions mises en œuvre à la suite de l'événement survenu en septembre 2018 sur le réacteur 2. Par ailleurs, je vous rappelle qu'un essai périodique ne peut être concluant que si « les résultats de l'essai ont été obtenus dès la première tentative (sauf précisions contraires indiquées par la Règle d'essais) » (condition d'acceptabilité no 7 d'un essai périodique définie dans la section 1 « généralités » du chapitre IX des RGE). En conséquence la non obtention de l'action attendue par le robinet 2 RIS 012 VP lors de la première impulsion sur le bouton de commande à l'occasion de l'essai RPR voie A réalisé le 13 juillet 2019 aurait dû conduire à : 
 poser les événements STE correspondants aux indisponibilités relevées ; 
 investiguer les causes du défaut ; 
 réparer dans les délais autorisés par les STE ou arrêter le réacteur pour le mettre dans un état sûr. 

Ces actions ont été menées le 14 juillet 2019, lors des essais RPR voie B qui ont mis en évidence que le robinet 2 RIS 012 VP ne se fermait pas après une impulsion supplémentaire sur le bouton de commande. Demande A12 : Je vous demande de m'indiquer les enseignements tirés de cette situation non conforme au chapitre IX des RGE et les actions engagées pour en éviter le renouvellement. 

Vous vous prononcerez également sur la déclaration et l'analyse de cet écart en tant qu'événement significatif. 

# B. Compléments D'Information

Néant. 

C. Observations Néant. 

* * * 
Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois, sauf mention contraire. Pour les engagements que vous seriez amenés à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

L'adjoint au chef du pôle des réacteurs à eau sous pression SIGNÉ 
Régis BECQ
7 